Use relacionamentos de identificação , semelhante a este:



Observe como o UserGroup PK migra do topo deste "diamante", para baixo em ambos os "lados" e se funde no "fundo". Como uma linha na parte inferior contém apenas um campo que identifica a parte superior, ela não pode ser relacionada a várias linhas na parte superior.

Você ainda pode manter suas outras chaves se precisar delas para outros fins e/ou tornar as chaves acima alternativas (ou seja, restrições UNIQUE)...

BTW, use a nomenclatura de forma mais consistente - eu recomendo sempre usar campos PK singulares e prefixados com nomes de tabela não abreviados ...